Sintesi

Questo CSIRT ha recentemente rilevato una campagna di smishing, veicolata tramite messaggi SMS, finalizzata a indurre le potenziali vittime a prenotare nuovamente una presunta consegna non andata a buon fine e a inserire i dati personali e della propria carta di pagamento.

Descrizione e potenziali impatti

Questo CSIRT ha recentemente rilevato una campagna di smishing, veicolata tramite messaggi SMS, finalizzata a indurre le potenziali vittime a prenotare nuovamente una presunta consegna non andata a buon fine e a inserire i dati personali e della propria carta di pagamento.

Il messaggio inviato alla potenziale vittima è molto simile a quelli normalmente utilizzati dalle società che effettuano consegne a domicilio per le mancate consegne (Figura 1), in cui si invita l’utente a collegarsi a un sito per la prenotazione della nuova consegna.

Seguendo il collegamento presente nel messaggio, la vittima viene reindirizzata a una pagina in cui viene invitata a reinserire i dati al fine di “Aggiornare l’indirizzo di consegna” (Figura 2).

Per proseguire nella procedura la potenziale vittima viene reindirizzata a una pagina in cui viene invitata a versare una “tariffa di gestione per la consegna” – di modico importo al fine di persuadere la vittima a dare seguito alla richiesta di pagamento – e viene richiesto l’inserimento di dati sensibili (Figura 3) come il nome del titolare della carta, il numero della carta, la data di scadenza e il codice di sicurezza (CVV/CVC).

Qualora la vittima prosegua con il pagamento viene visualizzata un’animazione di verifica del pagamento simile a quelle tipicamente visualizzate durante le transazioni online (Figure 4 e 5).

La pagina propone, successivamente, la richiesta di inserimento di codice OTP, inviato via SMS al dispositivo registrato (Figura 6) .

Ove inserito il codice OTP, inizia una fase di verifica del codice durante la quale il portale sembrerebbe simulare una transazione ai danni della vittima (Figura 7).

Infine si sottolinea come l’importo richiesto, essendo esiguo, tende a rendere plausibile la veridicità della comunicazione iniziale e della campagna in essere, portando la potenziale vittima a prestare meno attenzione ai meccanismi fraudolenti messi in atto.

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di minaccia adottando, tra le altre, le seguenti misure di mitigazione:

• fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing diffidando da comunicazioni inattese;

• diffidare da comunicazioni che richiedano il pagamento urgente, anche quando si tratta di importi modesti, soprattutto se accompagnate da riferimenti a presunte consegne, scadenze ravvicinate o procedimenti di recupero;

• verificare sempre la legittimità del sito internet prima di inserire dati personali o finanziari, controllando con attenzione il dominio e gli elementi identificativi della pagina;

• non accedere a collegamenti ricevuti tramite email, SMS o messaggi inattesi, privilegiando l’accesso diretto ai portali ufficiali digitando manualmente l’indirizzo nel browser;

• non inserire i dati della propria carta su pagine web di cui non sia stata verificata con certezza l’autenticità;

• in caso di inserimento dei dati su una risorsa sospetta, contattare tempestivamente il proprio istituto bancario o l’emittente della carta per valutare il blocco dello strumento di pagamento e monitorare eventuali operazioni non riconosciute.

Infine, si raccomanda di valutare la verifica e l’implementazione – sui propri apparati di sicurezza – degli Indicatori di Compromissione (IoC) ^[1] forniti nell’apposita sezione.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.